Apache MINA: Unsichere Deserialisierung in JavaNativeMessageDecoder

Zusammenfassung

Das Codec-Modul JavaNativeMessageDecoder von Apache MINA übergibt eingehende Frame-Bytes ohne Klassenfilter an die native Java-Deserialisierung (ObjectInputStream.readObject()). Ein Angreifer, der Daten an einen MINA-3.0-Endpunkt senden kann, könnte über Gadget-Ketten Code auf dem Server ausführen. Das Risiko betrifft nur Anwendungen, die diesen Decoder für Eingaben von nicht vertrauenswürdigen Partnern verwenden. Der 3.0.0-Zweig ist inaktiv, und es ist kein Fix geplant.

Betroffen

• Apache MINA 3.0.0 bis 3.0.0-M2 (gemäss offiziellem CVE-Eintrag; der Bereich ist noch nicht durch die Advisory von Apache bestätigt)
• Standardkonfiguration: nicht betroffen
• Ob MINA 2.2.X denselben Decoder enthält, ist in den Quellen nicht angegeben.

Behoben in

• Kein Fix geplant. Apache erklärt, dass der 3.0.0-Zweig inaktiv ist.
• Apache empfiehlt den neuesten 2.2.X-Zweig. Die MINA-Startseite nennt 2.2.10 als neueste Version; vor dem Upgrade die aktuelle Release-Seite prüfen.

Umgehung

• MINA-3.0.x-Abhängigkeit entfernen oder den betroffenen Dienst auf eine 2.2.X-Version migrieren.
• MINA-Endpunkt nicht gegenüber nicht vertrauenswürdigen Netzwerken exponieren; an der Firewall nur bekannte Partner zulassen.
• Nicht vertrauenswürdige Bytes nicht mehr an die native Java-Deserialisierung übergeben. Den Decoder durch ein Format ohne Serialisierung ersetzen oder als Zwischenlösung einen strikten ObjectInputFilter einsetzen (keine echte Behebung).

Ausnutzung

• Ob die Schwachstelle aktiv ausgenutzt wird, ist unbekannt.
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.
• Rapid7 führt kein Modul.

Unsere Empfehlung

• Alle Anwendungen und Abhängigkeiten mit mina-core 3.0.x inventarisieren, einschliesslich transitiver Kopien, und die Entwicklungs- oder Integrationspartner befragen.
• Migration auf einen unterstützten 2.2.X-Zweig planen, idealerweise 2.2.10 oder neuer, da CVE-2026-42778 die Versionen 2.2.0 bis 2.2.6 betraf und in 2.2.7 behoben wurde.
• Netzwerkzugriff auf den MINA-Dienst bis zum Upgrade auf bekannte, authentifizierte Partner beschränken.
• Priorität: hoch, wenn ein MINA-3.0-Dienst von ausserhalb des vertrauenswürdigen Netzwerks erreichbar ist; mittel, wenn er nur intern erreichbar ist und die Partner authentifiziert sind.
• Falls Apache Camel mit camel-mina eingesetzt wird, zusätzlich CVE-2026-40473 prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-118636 www.cve.org
• oss-security posting by Apache MINA www.openwall.com
• Apache lists thread lists.apache.org
• MINA project homepage mina.apache.org
• MINA 2.2 downloads mina.apache.org
• VulDB entry 429544 vuldb.com
• CVE-2026-42778 (SentinelOne) www.sentinelone.com
• CVE-2026-40473 (Camel MINA, GitHub) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:20.